La sospecha duró 25 años. La respuesta tomó media hora.
En 2000, el NIST adoptó el estándar ECDSA de curvas elípticas, el estándar de firma criptográfica más usado del mundo. Cada curva venía con un parámetro llamado seed, provisto por la NSA, sin explicación. Veinticinco años de especulación sobre si esos números escondían una puerta trasera.
El rumor y la hipótesis
El rumor más fuerte era de Jerry Solinas, empleado histórico de la agencia: habría generado las seeds a partir de un hash de una frase graciosa que olvidó, y murió en 2023 sin recordarla. Se anunció un premio y nadie lo ganó.
En octubre, un empleado de Anthropic le preguntó al modelo de investigación interno si lo resolvería sin la pista del rumor. Claude encontró las seeds de P-192, P-224, P-256, P-384 y P-521 en menos de media hora.
La respuesta: un reloj, no una conspiración
El resultado no es lo que el rumor decía. Las seeds no son hash de ninguna frase: son la salida del generador aleatorio lrand48 de la biblioteca C, inicializado con un timestamp Unix. Un reloj, y no una frase graciosa.
El método es lo que vale la lectura. En lugar de intentar la frase del rumor, Claude anticipó cómo debía haber funcionado el software de 1997: un generador pseudoaleatorio débil, del tipo que se reconoce por su salida. El modelo escribió un scanner que recorrió cada seed publicada bit a bit y probó 34 combinaciones de generador y fracción de salida.
La firma apareció en cuatro de las diez seeds: el bit más alto era cero en todas las veinte palabras, probabilidad de 1 entre 5.810, lo que firmó al lrand48, que solo devuelve 31 de los 48 bits de estado. La recuperación del estado truncado es un problema clásico de retícula, resuelto con el algoritmo LLL.
La implicación de seguridad es buena
Las curvas no fueron envenenadas. La técnica descrita por Daniel Bernstein y Tanja Lange, que pudo haber explotado la libertad en la elección de la seed, quedó completamente descartada: incluso con libertad total sobre los timestamps y los candidatos, quedaban cerca de 30 bits, insuficientes para apuntar a una clase débil de curvas o incrustar una puerta trasera.
Y el desenlace simbólico: Filippo Valsorda, el criptógrafo que organizó la recompensa de tres años y es defensor histórico de las curvas alternativas, publicó que ahora recomienda personalmente las curvas del NIST en lugar de las suyas. Y cerró con la frase que nadie esperaba: en el momento exacto para que sean retiradas en favor de las firmas post-cuánticas.
La lección que no es técnica
Se trata de confianza. Veinticinco años de especulación dañaron la confianza en un sistema que ahora sabemos limpio, y nadie necesitó cambiar nada: basta calcular.
Es el mismo patrón del caso Enigma resuelto por Astra: sospecha acumulada por décadas, espacio de búsqueda finito, método que anticipa el contexto histórico y validación de la comunidad. La IA se convirtió en el instrumento que cierra procesos que la esperanza y la paranoia mantenían abiertos.
Conclusión
Veinticinco años de teoría, media hora de scanner, y la respuesta era un reloj.
Para quien opera criptografía, el caso limpia una mancha antigua con la mejor salida posible: nada que corregir, todo que documentar. Para quien opera IA, es una prueba más de la tesis del año: sospecha convertida en hipótesis comprobable con espacio de búsqueda finito es el tipo de problema que la IA cierra. Y cierra rápido.